WordPress dispone di una gestione integrata degli utenti, che consente a più persone di lavorare su un sito web con le proprie credenziali di accesso. Non è necessario che ogni utente ottenga l'accesso completo all'intero sito web. Tramite diversi Ruoli utente e autorizzazioni si può stabilire con esattezza quali mansioni una persona può svolgere.
Ad esempio, un amministratore può gestire plugin e impostazioni, mentre un redattore modifica i contenuti o un autore pubblica semplicemente i propri articoli. Una gestione degli utenti configurata in modo sensato non solo facilita quindi la collaborazione, ma è anche una componente importante della Sicurezza di WordPress.
In questa guida ti mostriamo come creare utenti in WordPress, gestire account esistenti, assegnare correttamente i ruoli e rimuovere gli utenti in sicurezza.
Breve spiegazione: Puoi gestire gli utenti di WordPress su Utente → Tutti gli utenti. I nuovi conti si creano sotto Utente → Aggiungi utente Un ruolo utente corretto è fondamentale: assegna a ciascun utente esclusivamente i permessi di cui ha effettivamente bisogno per il suo compito.
Perché in WordPress ci sono diversi utenti? #
Su un piccolo sito web potrebbe lavorare una sola persona con WordPress. Tuttavia, non appena sono coinvolti dipendenti, redattori, agenzie o fornitori di servizi esterni, questi non dovrebbero utilizzare lo stesso account amministratore insieme.
WordPress consente pertanto la creazione di account utente separati. Ogni utente riceve le proprie credenziali di accesso e un ruolo specifico.
Questo offre diversi vantaggi:
- ogni persona possiede un proprio accesso a WordPress
- I permessi possono essere limitati in modo mirato
- non ogni utente ha bisogno dei diritti di amministratore
- Gli autori possono essere associati ai propri articoli
- I conti possono essere modificati o rimossi singolarmente.
- In caso di cambi di personale, non è necessario condividere una password comune.
Soprattutto nel caso di siti web aziendali, un account amministratore condiviso per più persone non è una buona soluzione.
Dove trovo la gestione utenti in WordPress? #
Accedi prima di tutto all'area di amministrazione di WordPress.
Questo è solitamente raggiungibile in un'installazione WordPress normale all'indirizzo:
Sostituisci deine-domain.ch tramite il tuo dominio effettivo.
Apri quindi:
Utente → Tutti gli utenti
Lì vedi gli account utente della tua installazione di WordPress, a condizione che il tuo ruolo utente sia autorizzato a visualizzare o gestire questi account.
Panoramica dei ruoli utente di WordPress #
WordPress possiede di default diversi ruoli utente. Ogni ruolo dispone di determinati permessi, che in WordPress sono definiti Capacità essere definiti.
I cinque ruoli classici di un'installazione WordPress standard sono:
- Amministratore
- Redattore
- Autore
- Dipendente
- Abbonato
I plugin possono aggiungere ruoli e autorizzazioni supplementari. Con WooCommerce, ad esempio, troverai ulteriori ruoli che non sono presenti in un'installazione normale di WordPress.
Amministratore: Controllo completo del sito web #
Del Amministratore possiede permessi molto estesi in un'installazione singola standard di WordPress.
Gli amministratori possono, tra le altre cose:
- Gestisci utenti
- Installare, attivare ed eliminare i plugin
- Installare e gestire i temi
- Modifica le impostazioni del sito web
- Gestire articoli e pagine
- Modificare i contenuti di altri utenti
- Aggiornare WordPress
- apportare modifiche di vasta portata al sito web
I privilegi di amministratore dovrebbero pertanto essere concessi solo alle persone che ne hanno effettivamente bisogno.
Importante: Non assegnare i privilegi di amministratore per comodità. Un amministratore può modificare parti essenziali del sito web. Se un account amministratore viene compromesso, un utente malintenzionato disporrà di possibilità di conseguenza ampie.
Redattore: Gestire i contenuti dell'intero sito web #
Il ruolo Redattore è pensato per persone che devono lavorare in modo editorialmente estensivo sui contenuti di un sito web, senza dover assumere contemporaneamente l'amministrazione tecnica.
In particolare, i redattori possono gestire e pubblicare contributi propri e altrui. Possono inoltre gestire pagine e commenti.
Un redattore, invece, non ha bisogno di privilegi di amministratore solo perché deve modificare tutti i post del blog di un sito web.
Per un dipendente responsabile della gestione editoriale di un sito web, questo ruolo può quindi risultare molto più adatto rispetto al ruolo di amministratore.
Autore: Creare e pubblicare i propri post #
Uno Autore può creare, modificare e pubblicare i propri post.
Il ruolo è adatto, ad esempio, per un blog con più autori, in cui ciascun autore può pubblicare autonomamente i propri contenuti, ma non necessita di accesso agli articoli di altri autori o alla configurazione tecnica del sito web.
Ciò conferisce a un autore diritti notevolmente inferiori rispetto a un redattore o a un amministratore.
Collaboratore: scrivere articoli, ma senza pubblicarli in autonomia #
Il ruolo Dipendente è adatto agli utenti che possono creare e modificare i propri contributi, ma non devono pubblicarli autonomamente.
Un utente di questo tipo può, ad esempio, preparare un nuovo articolo. La pubblicazione viene poi effettuata da un utente con i permessi necessari a tale scopo.
Questa ripartizione dei ruoli è pratica quando i contenuti devono essere controllati o approvati internamente prima della pubblicazione.
Abbonato: Accesso utente fortemente limitato #
Del Abbonato possiede per impostazione predefinita solo autorizzazioni molto limitate. Può effettuare l'accesso e gestire il proprio profilo, ma non dispone di normali diritti editoriali o amministrativi per la modifica del sito web.
Se questo ruolo sia effettivamente necessario sul tuo sito web dipende dal rispettivo progetto.
Quale ruolo WordPress dovrei assegnare? #
Nella scelta di un ruolo utente vale un semplice principio di sicurezza: Tanti diritti quanti sono necessari, ma pochi quanti sono possibili.
Un utente che deve solo scrivere post per il blog non ha bisogno di privilegi di amministratore. Allo stesso modo, un copywriter esterno normalmente non ha bisogno dell'accesso a plugin, temi o impostazioni centrali di WordPress.
Tipica assegnazione dei compiti #
- Gestire tecnicamente il sito web: Amministratore
- Gestire l'intera redazione: Redattore
- Pubblicare autonomamente i propri contributi: Autore
- Preparazione dei propri contributi, approvazione richiesta: Dipendente
- Solo il proprio profilo o accesso limitato: Abbonato
Questa mappatura è un orientamento per una normale installazione di WordPress. I plugin possono modificare ruoli e permessi o aggiungere ruoli aggiuntivi.
Creare un nuovo utente in WordPress #
Se un'altra persona ha bisogno di accedere al tuo sito web WordPress, dovresti creare un account utente separato per lei.
Apri per farlo:
Utente → Aggiungi utente
Crea un nuovo utente WordPress #
- Accedi a WordPress con un account adeguatamente autorizzato.
- Apri Utente → Aggiungi utente.
- Dammi un Nomi utente uno.
- Indossa Indirizzo e-mail del nuovo utente.
- Se necessario, aggiungi nome, cognome e ulteriori dettagli.
- Imposta la desiderata Ruolo utente festa.
- Verifica tutte le informazioni.
- Clicca su Aggiungi nuovo utente.
La visualizzazione esatta delle singole opzioni può variare leggermente a seconda della tua versione di WordPress e dei plugin installati.
Quale nome utente dovrei usare? #
Il nome utente viene utilizzato per l'identificazione dell'account WordPress e può essere impiegato per l'accesso.
Scegli un nome utente univoco e non utilizzare lo stesso accesso generico per tutti gli amministratori.
In presenza di più persone è opportuno effettuare un'associazione chiara. In questo modo sarà più facile capire in seguito quale conto appartiene a quale persona.
Il nome utente inoltre non è lo stesso del nome pubblico visualizzato di un autore. WordPress consente di impostare un nome visualizzato separato.
Il nome utente e il nome visualizzato non sono la stessa cosa #
WordPress distingue tra il vero e proprio Nomi utente e il nome che può essere visualizzato, ad esempio, sui post pubblicati.
Nel profilo utente è possibile configurare, tra le altre cose, il nome, il cognome, il soprannome e il nome visualizzato pubblico.
Ciò significa che il nome utente interno non deve necessariamente apparire pubblicamente come nome dell'autore.
Password sicura per un nuovo utente #
Ogni utente di WordPress dovrebbe utilizzare una password personale, forte e unica.
Non utilizzare password comuni per più utenti ed evita password già utilizzate per altri servizi.
WordPress può generare automaticamente password forti. Per la gestione sicura di diverse credenziali di accesso, si consiglia un gestore di password.
Spieghiamo dettagliatamente come un utente può modificare la propria password nella bacheca di WordPress nell'articolo Modifica password di WordPress: aggiorna in modo sicuro la password di amministrazione nella bacheca.
Modifica utenti WordPress esistenti #
Gli utenti esistenti si trovano all'indirizzo:
Utente → Tutti gli utenti
Bewege den Mauszeiger über den gewünschten Benutzer beziehungsweise öffne dessen Profil. Abhängig von deinen eigenen Berechtigungen kannst du anschliessend verschiedene Kontoeinstellungen bearbeiten.
Questi possono includere, ad esempio:
- Vorname und Nachname
- Spitzname
- öffentlicher Anzeigename
- Indirizzo e-mail
- Sito web
- biografische Angaben
- Ruolo utente
- Password
Welche Einstellungen tatsächlich verfügbar sind, hängt von deinen Berechtigungen und den auf der Website installierten Erweiterungen ab.
Benutzerrolle nachträglich ändern #
Aufgaben innerhalb eines Unternehmens oder Projekts können sich verändern. Deshalb lässt sich die Rolle eines WordPress-Benutzers bei entsprechender Berechtigung nachträglich anpassen.
Wenn ein Autor beispielsweise künftig die gesamte Redaktion betreuen soll, kann eine andere Rolle erforderlich werden. Umgekehrt sollten nicht mehr benötigte Berechtigungen auch wieder entfernt werden.
Prüfe vor einer Änderung genau, welche zusätzlichen Rechte die neue Rolle erhält.
Sicherheitsprinzip: Benutzerrechte sollten nicht nur erweitert, sondern bei veränderten Aufgaben auch wieder reduziert werden. Ein Benutzer sollte dauerhaft nur die Rechte besitzen, die er tatsächlich benötigt.
Warum nicht einfach jedem Administratorrechte geben? #
Das wäre zwar bequem, ist aber eine schlechte Sicherheitsstrategie.
Ein Administrator kann tiefgreifende Änderungen an WordPress durchführen. Je mehr Administrator-Konten existieren, desto mehr Konten müssen entsprechend geschützt werden.
Ausserdem steigt das Risiko versehentlicher Änderungen. Ein Benutzer, der nur Inhalte bearbeiten soll, muss beispielsweise keine Plugins deaktivieren, Themes wechseln oder zentrale Einstellungen verändern können.
Administratorrechte sollten deshalb auf einen möglichst kleinen und klar definierten Personenkreis beschränkt bleiben.
Eigene Benutzerkonten statt gemeinsamem Administrator-Login #
Mehrere Mitarbeiter sollten nicht dauerhaft mit demselben Administrator-Benutzernamen und Passwort arbeiten.
Separate Benutzerkonten sind aus mehreren Gründen sinnvoll:
- jeder Benutzer besitzt eigene Zugangsdaten
- Rollen können individuell vergeben werden
- ein einzelnes Konto kann gezielt deaktiviert beziehungsweise entfernt werden
- Passwörter müssen nicht zwischen mehreren Personen geteilt werden
- Autoren und Inhalte können einzelnen Benutzern zugeordnet werden
Verlässt beispielsweise ein Mitarbeiter das Unternehmen, kann dessen Benutzerkonto entfernt werden, ohne gleichzeitig die Zugangsdaten aller anderen Benutzer ändern zu müssen.
Benutzer aus WordPress löschen #
Wird ein Benutzer nicht mehr benötigt, kannst du dessen Konto bei entsprechender Berechtigung löschen.
Apri per farlo:
Utente → Tutti gli utenti
Wähle den betreffenden Benutzer und anschliessend die Funktion zum Löschen.
Jetzt kommt ein wichtiger Punkt: Wenn der Benutzer bereits Inhalte erstellt hat, fragt WordPress beim Löschen, was mit diesen Inhalten geschehen soll.
Was passiert mit den Beiträgen eines gelöschten Benutzers? #
Beim Löschen eines Benutzers mit vorhandenen Inhalten bietet WordPress grundsätzlich die Möglichkeit, dessen Inhalte ebenfalls zu löschen oder sie einem anderen Benutzer zuzuordnen.
Diese Entscheidung solltest du nicht unüberlegt treffen.
Attenzione: Wählst du beim Löschen eines Benutzers die Option, dessen Inhalte zu löschen, können die diesem Benutzer zugeordneten Inhalte entfernt werden. Möchtest du Beiträge oder andere relevante Inhalte behalten, ordne sie vor beziehungsweise während des Löschvorgangs einem anderen Benutzer zu.
Gerade bei einem Mitarbeiterwechsel möchtest du normalerweise nur das Benutzerkonto entfernen und die veröffentlichten Unternehmensinhalte behalten.
Benutzer löschen und Inhalte einem anderen Benutzer zuordnen #
Benutzer sicher entfernen #
- Apri Utente → Tutti gli utenti.
- Prüfe den Benutzer, der entfernt werden soll.
- Kontrolliere, ob diesem Benutzer wichtige Inhalte zugeordnet sind.
- Scegli Elimina.
- Entscheide, ob vorhandene Inhalte gelöscht oder einem anderen Benutzer zugeordnet werden sollen.
- Wähle bei benötigten Inhalten einen geeigneten bestehenden Benutzer als neuen Autor.
- Bestätige den Löschvorgang erst nach sorgfältiger Kontrolle.
Bei wichtigen Websites empfiehlt sich vor umfangreichen Änderungen an Benutzern und Inhalten grundsätzlich eine aktuelle Datensicherung.
Was tun, wenn ein Mitarbeiter das Unternehmen verlässt? #
Bei einem Austritt sollte der WordPress-Zugang nicht unnötig aktiv bleiben.
Verifica in particolare:
- benötigt die Person weiterhin Zugriff?
- besitzt sie Administratorrechte?
- welche Inhalte sind dem Benutzer zugeordnet?
- müssen Beiträge einem anderen Benutzer übertragen werden?
- existieren weitere Zugänge ausserhalb von WordPress?
Der letzte Punkt ist wichtig. Ein WordPress-Benutzerkonto ist nicht automatisch identisch mit anderen Zugängen.
Eine Person kann zusätzlich Zugriff auf cPanel, FTP, E-Mail-Konten, externe Dienste oder das CURIAWEB Kundencenter besitzen. Das Löschen des WordPress-Benutzers entfernt solche separaten Zugänge nicht.
WordPress-Benutzer und cPanel-Benutzer sind getrennt #
Ein häufiger Irrtum besteht darin, WordPress-Benutzer mit Hosting-Zugängen gleichzusetzen.
Ein WordPress-Benutzer wird innerhalb der WordPress-Installation verwaltet. cPanel ist dagegen die technische Verwaltungsoberfläche des Hosting-Pakets.
Wenn du einen WordPress-Benutzer löschst, wird dadurch beispielsweise kein FTP-Konto und kein E-Mail-Postfach in cPanel gelöscht.
Dasselbe gilt umgekehrt: Eine Änderung des cPanel-Passworts verändert nicht automatisch das Passwort eines WordPress-Benutzers.
Benutzer kann sich nicht mehr anmelden #
Wenn ein bestehender Benutzer sein Passwort vergessen hat, musst du nicht zwingend das gesamte Benutzerkonto löschen und neu erstellen.
WordPress besitzt eine integrierte Passwort-Wiederherstellung. Über die Login-Seite kann der Benutzer einen Link zum Zurücksetzen seines Passworts anfordern.
La pagina di accesso si trova solitamente all'indirizzo:
Den vollständigen Ablauf erklären wir in der Anleitung Password di WordPress dimenticata: come recuperare l'accesso.
Was tun, wenn die Passwort-E-Mail nicht ankommt? #
Wenn ein Benutzer die E-Mail zur Passwort-Wiederherstellung nicht erhält, sollte zunächst die hinterlegte E-Mail-Adresse sowie der Spam-Ordner geprüft werden.
Werden WordPress-Systemnachrichten generell nicht zuverlässig zugestellt, kann die Konfiguration des E-Mail-Versands die Ursache sein.
Su CURIAWEB questo è indicato per GoSMTP PRO gratis zur Verfügung. Damit lässt sich der Versand von WordPress-E-Mails über SMTP konfigurieren.
Wie das funktioniert, zeigen wir in der Anleitung Inviare email di WordPress tramite SMTP.
Benutzerverwaltung bei einem Blog mit mehreren Autoren #
Bei einem Blog mit mehreren Autoren ist die WordPress-Benutzerverwaltung besonders praktisch.
Jeder Autor kann ein eigenes Konto erhalten. Dadurch können Beiträge eindeutig einem bestimmten Autor zugeordnet werden, ohne dass alle Personen denselben WordPress-Zugang verwenden.
Je nach redaktionellem Ablauf kannst du beispielsweise Autoren einsetzen, die ihre Beiträge selbst veröffentlichen dürfen, oder Mitarbeiter, deren Beiträge vor der Veröffentlichung durch einen Redakteur geprüft werden.
Wie du neue Beiträge erstellst, behandeln wir ausführlich im Artikel Blogbeiträge in WordPress erstellen.
Benutzerverwaltung bei Unternehmenswebsites #
Auch bei einer normalen Unternehmenswebsite ist eine klare Rollenverteilung sinnvoll.
Ein mögliches Beispiel:
- die für die technische Website-Verwaltung verantwortliche Person erhält Administratorrechte
- die Marketingabteilung arbeitet als Redakteur
- ein externer Texter arbeitet als Autor oder Mitarbeiter
- nicht mehr beteiligte Personen verlieren ihren Zugang
Welche Rollen tatsächlich sinnvoll sind, hängt immer davon ab, welche Aufgaben die einzelnen Personen übernehmen.
Plugins können zusätzliche Benutzerrollen hinzufügen #
Die fünf Standardrollen sind nicht die einzigen Rollen, die dir auf einer WordPress-Website begegnen können.
Plugins können eigene Benutzerrollen und zusätzliche Berechtigungen registrieren. Das ist beispielsweise bei Shop-, Mitglieder-, Lernplattform- oder Community-Lösungen üblich.
Installierst du entsprechende Erweiterungen, können deshalb unter Utente zusätzliche Rollen erscheinen.
Bevor du einem Benutzer eine solche Rolle zuweist, solltest du prüfen, welche Berechtigungen damit tatsächlich verbunden sind.
WordPress-Benutzer bei WooCommerce #
WooCommerce erweitert die WordPress-Benutzerverwaltung unter anderem um zusätzliche Rollen für den Shopbetrieb. Dadurch können beispielsweise Kundenkonten von normalen redaktionellen WordPress-Benutzern unterschieden werden.
Bei einem WooCommerce-Shop solltest du Benutzer deshalb nicht allein anhand ihres Namens beurteilen oder unüberlegt löschen. Prüfe vorher, welche Rolle der Benutzer besitzt und ob das Konto mit Bestellungen oder Kundendaten zusammenhängt.
Insbesondere bei produktiven Shops sollte die Benutzerverwaltung mit entsprechender Sorgfalt erfolgen.
Benutzerrechte regelmässig überprüfen #
Mit der Zeit sammeln sich auf älteren WordPress-Websites häufig Benutzerkonten an, die ursprünglich für Mitarbeiter, Agenturen, Entwickler oder andere externe Personen eingerichtet wurden.
Solche Konten werden leicht vergessen.
Es ist deshalb sinnvoll, die Benutzerliste gelegentlich zu kontrollieren:
- Welche Benutzer existieren?
- Wer benötigt tatsächlich noch Zugriff?
- Wer besitzt Administratorrechte?
- Sind die vergebenen Rollen noch angemessen?
- Existieren Konten ehemaliger Mitarbeiter oder Dienstleister?
- Sind ungewöhnliche oder unbekannte Benutzer vorhanden?
Besonders Administrator-Konten verdienen dabei Aufmerksamkeit.
Consiglio pratico: Wenn du einen Benutzer nicht kennst, lösche ihn nicht sofort. Prüfe zuerst, wem das Konto gehört, welche Rolle es besitzt und welche Inhalte damit verbunden sind. Ein unbekannt wirkender Benutzer kann beispielsweise zu einem Plugin, einer früheren Agentur oder einem legitimen technischen Prozess gehören.
Unbekannter Administrator entdeckt: Was tun? #
Findest du ein Administrator-Konto, das definitiv niemandem zugeordnet werden kann, solltest du die Situation genauer untersuchen.
Ein unbekannter Administrator kann ein Hinweis auf einen unbefugten Zugriff sein. Gleichzeitig solltest du nicht vorschnell Änderungen durchführen, ohne die Herkunft des Kontos zu prüfen.
Kontrolliere in einem solchen Fall unter anderem:
- welche E-Mail-Adresse beim Benutzer hinterlegt ist
- ob das Konto einer bekannten Person oder Agentur gehört
- ob weitere unbekannte Benutzer vorhanden sind
- ob ungewöhnliche Plugins installiert wurden
- ob Inhalte oder Einstellungen verändert wurden
- ob andere Administrator-Konten noch sicher sind
Bei einem konkreten Verdacht auf eine kompromittierte Website sollte nicht nur der unbekannte Benutzer entfernt werden. Die gesamte WordPress-Installation sollte auf weitere Manipulationen geprüft werden.
Eseguire un backup prima di apportare modifiche importanti #
Das Anlegen eines normalen Benutzers ist keine besonders riskante Änderung. Anders sieht es aus, wenn mehrere Benutzer gelöscht, Rollen umfangreich verändert oder bestehende Inhalte neu zugeordnet werden.
Vor solchen Änderungen ist eine aktuelle Sicherung sinnvoll.
Das gilt insbesondere für Websites mit vielen Autoren, umfangreichen Inhalten oder einem produktiven WooCommerce-Shop.
Typische Fehler bei der WordPress-Benutzerverwaltung #
Viele Sicherheits- und Verwaltungsprobleme entstehen nicht durch WordPress selbst, sondern durch unnötig grosszügig vergebene Berechtigungen.
Tra gli errori più comuni ci sono:
- jedem Benutzer Administratorrechte geben
- einen gemeinsamen Administrator-Zugang für mehrere Personen verwenden
- ehemalige Mitarbeiterkonten aktiv lassen
- Passwörter zwischen mehreren Benutzern teilen
- Benutzer löschen, ohne vorher deren Inhalte zu prüfen
- beim Löschen versehentlich benötigte Beiträge entfernen
- Plugin-spezifische Benutzerrollen ignorieren
- WordPress-Zugänge mit cPanel-, FTP- oder E-Mail-Zugängen verwechseln
- unbekannte Administratoren nicht untersuchen
Nota: Nicht jeder, der an einer WordPress-Website arbeitet, muss Administrator sein. Eine saubere Rollenverteilung reduziert unnötige Zugriffsrechte und damit auch das Risiko versehentlicher oder unbefugter Änderungen.
Riepilogo #
Puoi gestire gli utenti di WordPress su Utente → Tutti gli utenti. Neue Konten kannst du unter Utente → Aggiungi utente erstellen und mit einer passenden Benutzerrolle ausstatten.
WordPress unterscheidet standardmässig zwischen Administrator, Redakteur, Autor, Mitarbeiter und Abonnent. Welche Rolle ein Benutzer erhält, sollte sich nach seinen tatsächlichen Aufgaben richten. Vergib insbesondere Administratorrechte nur dann, wenn sie wirklich benötigt werden.
Wenn du einen Benutzer löschst, prüfe vorher unbedingt dessen Inhalte. WordPress kann dir beim Löschen die Möglichkeit geben, vorhandene Inhalte einem anderen Benutzer zuzuordnen. Dadurch lassen sich beispielsweise Beiträge eines ehemaligen Mitarbeiters behalten, obwohl dessen Zugang entfernt wird.
Weitere wichtige Anleitungen zur Benutzerverwaltung findest du in unseren Artikeln zum Ändern des WordPress-Passworts, zur Wiederherstellung eines vergessenen WordPress-Passworts und zur Einrichtung des WordPress-E-Mail-Versands per SMTP.
